הערות מוצר של Google Distributed Cloud במודל Air-gapped

‫16 בפברואר 2024 [GDC 1.12.0]

הודעה
  • גרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped זמינה עכשיו.
    בסקירה הכללית על המוצר מפורטות התכונות של Google Distributed Cloud במודל Air-gapped.
  • גרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped תומכת בשתי מערכות הפעלה:
    • Ubuntu 20231205
    • Rocky Linux 20231208
אבטחה

גרסת קובץ האימג' של מערכת ההפעלה Canonical Ubuntu עודכנה ל-20231208 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים. כדי ליהנות מהתיקונים של הבאגים ושל נקודות החולשה באבטחה, צריך לשדרג את כל הצמתים בכל גרסה. נקודות החולשה הבאות באבטחה תוקנו:

אבטחה

תוקנו נקודות החולשה הבאות באבטחה של קובץ האימג' של הקונטיינר:

אבטחה

תמונת הבסיס של gcr.io/distroless/base עודכנה ל-digest sha256:eda29d6da91216123f1c1841b7c7a7abe1eece155cfe8d20d2a29e5daf9ad497 כדי להחיל את תיקוני האבטחה האחרונים ועדכונים חשובים.

שינוי

מנהל התוספים:

בנייה ואריזה:

  • גרסת Golang שודרגה ל-1.20.

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוספו עוד רשימות רכיבי תוכנה (SBOM) לפלט, והלוגיקה עודכנה כדי להבטיח שרשימות כאלה יפורסמו בעתיד.

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוספו קובצי tar מסוג gdch_notice_license_files להעלאת מניפסטים.

ניהול מלאי שטחי פרסום:

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוספו אימותים לרשימות החיבורים של חומרה בגרסה 3.0.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, עודכנה תבנית היציאה לניהול של שרת המסוף כדי לאפשר LAN1A ו-LAN2A.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוספה הודעה כדי למנוע בלבול בין המצבים הפעיל והפסיבי של PA850.
  • גרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped תומכת בקלטת breakout באימות.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוסף אימות של חומת האש הקבועה לחיבור של חומת האש לניהול.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, נוספה הנחיה ל-Classless Inter-Domain Routing‏ (CIDR) של OI למחולל של שאלון הקליטה של הלקוח.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, שיפרנו את הודעת השגיאה שמוצגת כשחסרה כתובת MAC, כדי לצמצם את חוסר היציבות של הבדיקה המקדימה במהלך אימות החיבור של HSM ו-mgmtsw.

ארגון ה-IT של Operations Center:

  • השמות של ארגון ה-IT של מרכז התפעול עודכנו באופן הבא:

    • השם של Operations Center (OC) השתנה ל-Operations Suite Facility (OIF).

    • השם של OC Core השתנה ל-Operations Suite Infrastructure Core Rack ‏ (OIR).

    • השם של Operations Center IT (OCIT)‎ השתנה ל-Operations Suite Infrastructure (OI)‎.

    • השם של OCIT השתנה ל-OI.

    מידע נוסף זמין במאמר בנושא טרמינולוגיה.

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, סקריפט ההגדרה של Userlock עודכן כדי לאפשר שימוש בשרת יתירות כשל.

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped נוצרות מראש קבוצות אבטחה נוספות של Operations Suite Infrastructure ‏ (OI), כדי לאפשר גישה מפורטת במערכות OI.

System artifact registry:

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, הדגל הקצר -f (--force) הוסר מנכסי ה-CLI.

עדכון גרסה:

  • גרסת קובץ האימג' שמבוססת על Debian עודכנה ל-bookworm-v1.0.0-gke.3.

התכונה

Certificate Manager:

  • הוספנו אפשרות להגדיר את גודל המפתח באישור web-tls לארגונים.

שירות מסד נתונים:

  • תמיכה בשחזור מערכת מנקודה מסוימת בזמן (PITR) למסדי הנתונים של Oracle.
  • תמיכה בהעברה מתקדמת של Postgres כדי להעביר מסדי נתונים מקומיים למסדי נתונים שמנוהלים על ידי שירות מסד הנתונים של GDC.

רישום ביומן:

Marketplace:

  • ‫MongoDB Enterprise Advanced (BYOL) זמין עכשיו ב-Google Distributed Cloud במודל Air-gapped 1.12.0 Marketplace.
    זהו אוסף של מוצרים ושירותים שמשפרים את האבטחה והיעילות, ומאפשרים לכם לשלוט במסדי הנתונים של MongoDB.

מאגר אובייקטים:

  • נוספה תמונה חדשה שנדרשת כדי לארח קובצי שדרוג בתוכנה של מאגר האובייקטים.
  • הוספנו תווית של גרסת הצפנה ל-webhooks של קטגוריות.
  • הוספנו כלי התאמה לרוטציית פרטי הכניסה של האובייקטים.

שירותי ליבה של תשתית Operations Suite‏ (OIC)

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, יומני OIC נאספים ב-Grafana.
  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, הסקריפט Copy-BareMetalFiles.ps1 הועבר ממסמכי התיעוד של ההתקנה לסקריפטים ב-private-cloud/operations/dsc/.
אבטחת הפלטפורמה

  • אישור TLS לאינטרנט של אשכול ברמת אדמין בסיסית (root) מונפק על ידי התשתית הפנימית של המפתח הציבורי של Google Distributed Cloud במודל Air-gapped.

תאימות אבטחה:

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, נוספה אבטחת יציאות שנדרשת כדי לעבור הערכת אבטחה.

מערכת כרטיסי מידע

  • עדכנו את המשימות המתוזמנות ב-ServiceNow כדי שהן יופעלו בהדרגה, וכך למנוע עומסים פתאומיים במסד הנתונים.
  • מפעיל התשתית מקבל התראה כשאירוע מטא-מעקב ב-ServiceNow לא מעודכן.

שדרוג

  • הוספנו את לוח הבקרה Upgrade Status למפעילי תשתיות ולאדמינים של פלטפורמות.
  • נוספה פקודה להפעלת שדרוג של אשכול משתמשים.

Vertex AI:

  • הוספנו גרסת טרום-השקה (Preview) של חיזויים אונליין כדי להציג בקשות באמצעות מודלים של חיזוי משלכם בקבוצה של קונטיינרים נתמכים.
  • הוספנו גרסת טרום-השקה (Preview) של תרגום מסמכים כדי לתרגם ישירות מסמכי PDF מעוצבים ולשמור על העיצוב והפריסה המקוריים בתרגומים.
  • הוספנו תמיכה בגיבוי ובשחזור של נתוני notebook בספריית הבית של מכונות Vertex AI Workbench JupyterLab.

ניהול מכונות וירטואליות

תוקן

חיוב:

  • תוקנה הבעיה שבה המשימה onetimeusage נכשלה תמיד בעדכון התוויות באובייקט onetimeusage, וגרמה להתראות על כשל.
  • תוקנה הבעיה שגרמה לעלות המצטברת של משאב בהתאמה אישית (CR) להשתכפל כשהמשימה הופעלה מחדש אחרי שעלות ה-CR נכתבה במסד הנתונים, לפני שהתווית עודכנה למצב "עובד".

מודול אבטחת חומרה:

  • תוקנה הבעיה שגרמה למודול אבטחת החומרה לעבור לעיתים קרובות בין המצבים ServicesNotStarted ו-ready.

זהות היברידית:

  • תוקנה הבעיה בהגדרות הרשת ב-Pod של הזהויות.

ניהול מלאי שטחי פרסום:

  • תוקנה הבעיה שבה מנתח הרישיונות לא ניתח קובצי מאגר אובייקטים שטקסט ה-JSON של הרישיון שלהם התפרס על פני כמה שורות.
  • תוקנה הבעיה בביטוי הרגולרי לאימות של CableType ב-CellCfg בחומרה בגרסה 3.0.
  • תוקנה הבעיה שבה צומת ה-bootstrapper נכלל באימות החומרה.
  • תוקנה הבעיה שבה SecureBootEnable הושבת בצומת של אשכול ברמת אדמין בסיסית (root) אחרי אתחול השרת.

שירותי ליבה של תשתית Operations Suite‏ (OIC)

  • תוקנה הבעיה שבה Initialize-BareMetalHost.ps1 לא זיהה שנדרשת הפעלה מחדש.
  • תוקנה הבעיה שבה לא הונפק קובץ req לשליחה עבור שורש CA אופליין, אלא שורש CA ארגוני.
  • תוקנה הבעיה שבה תהליך היצירה של OIC VM השאיר את סנכרון הזמן של Hyper-V מופעל.

מערכת כרטיסי מידע

  • תוקנה בעיה בביקורת של MariaDB.

שדרוג

  • הוספנו בדיקות שדרוג לאחר ההתקנה של ניהול הזהויות והרשאות הגישה (IAM) כדי לפתור את הבעיה בהתראות של IAM.

ניהול מכונות וירטואליות

  • תוקנה הבעיה שבה הסטטוס של המכונה הווירטואלית הראה בעבר PendingIPAllocation אם לא ניתן היה לתזמן את המכונה הווירטואלית. אחרי התיקון, הסטטוס של המכונה הווירטואלית יהיה ErrorUnscheduable.
  • תוקנה הבעיה שבה נעשה שימוש בסוד שגוי של מאגר אובייקטים בפעולות ייבוא של קובץ אימג' של VM.
הבעיה

גיבוי ושחזור:

  • יכול להיות שיישלחו התראות לגבי מאגר גיבויים גם אם המאגר תקין.

ניהול אשכולות:

  • המשימה machine-init נכשלת במהלך הקצאת האשכול.

שרתים פיזיים:

  • תהליך העדכון של אשכול ברמת אדמין בסיסית (root) נתקע בשדרוג הצומת, ובאופן ספציפי ב-NodeBIOSFirmwareUpgradeCompleted.

שירות מסד נתונים:

  • עומסי העבודה של שירות מסד הנתונים פועלים בתוך אשכול המערכת, ולכן עומסי העבודה של מסד הנתונים עשויים לחלוק את תשתית המחשוב עם מכונות אחרות של מסד הנתונים ועם מערכות שונות של מישור הבקרה.

Harbor as a service (HAAS):

  • ‫HaaS היא תכונה בגרסת טרום-השקה (Preview) של Google Distributed Cloud במודל Air-gapped בגרסה 1.12.0, ולכן היא לא אמורה לפעול בסביבות ייצור.
    משימת ההתקנה מראש נכשלת בכוונה כדי למנוע מרכיבי המשנה להתאים כראוי, וכך המשתמשים לא יכולים להשתמש ב-HaaS.
    רכיבי המשנה של HaaS צפויים להיות במצב התאמה, שלא משפיע על הפונקציונליות של רכיבים אחרים.

חומת אש:

  • במהלך פריסת הלקוח, שם המשתמש של מנהל הקובץ secret.yaml חייב להיות admin, אבל הוא מכיל את TO-BE-FILLED אחרי היצירה הראשונה. צריך להשתמש בשם המשתמש admin כדי להפעיל את ההגדרה הראשונה בחומת האש.

מודול אבטחת חומרה:

  • רישיונות ניסיון שהושבתו עדיין ניתנים לזיהוי ב-CipherTrust Manager, וזה גורם להצגת אזהרות שווא על תפוגה.
  • כשמוחקים KMS CTMKey, יכול להיות שה-PA יתקל בהתנהגויות לא צפויות, כולל מצב שבו שירות ה-KMS לא יתחיל לפעול בארגון.
  • סוד שניתן לסיבוב עבור מודולי אבטחת חומרה נמצא במצב לא ידוע.
  • רוטציות של רשות אישורים פנימית של HSM נתקעות ולא מסתיימות.

רישום ביומן:

מעקב:

  • יכול להיות שהאישורים של Node Exporter לא יהיו מוכנים כשיוצרים ארגון.
  • חלק מהמדדים מאשכולות המשתמשים לא נאספים. הבעיה הזו משפיעה על אשכולות ה-VM של המשתמשים, אבל לא על אשכול המערכת.
  • סוג האחסון של המדדים מוגדר באופן שגוי בהגדרות האישיות.
  • ה-ConfigMap של mon-prober-backend-prometheus-config מתאפס כך שלא יכלול משימות בדיקה, וההתראה MON-A0001 מופעלת.

פלטפורמת הצומת:

  • שדרוג הצומת נכשל בגלל קובץ lvm.conf לא עדכני.

שרתים פיזיים:

  • תהליך העדכון של אשכול ברמת אדמין בסיסית (root) נתקע בשדרוג הצומת, ובאופן ספציפי ב-NodeBIOSFirmwareUpgradeCompleted.
  • כשמתקינים שרת באופן ידני, יכול להיות שההתקנה תיתקע.

שדרוג:

  • שדרוג הצומת נכשל ב-NodeOSInPlaceUpgradeCompleted.
  • השדרוג של המתג לא הצליח להריץ את הפקודה install add bootflash://..
  • יכול להיות שכמה Pods באשכול מערכת ייתקעו במצב TaintToleration.

רשת עליונה:

  • אשכול מכונות וירטואליות של משתמש נתקע במצב ContainerCreating עם האזהרה FailedCreatePodSandBox.

Vertex AI:

  • ה-MonitoringTarget מציג סטטוס Not Ready כשנוצרים אשכולות של משתמשים, וכתוצאה מכך ממשקי API שעברו אימון מראש מציגים כל הזמן מצב Enabling בממשק המשתמש.

גיבוי ושחזור של מכונות וירטואליות:

  • בקרת גישה מבוססת-תפקידים (RBAC) והגדרות הסכימה ב-VM Manager מונעות מהמשתמשים להתחיל תהליכי גיבוי ושחזור של VM.
  • ייבוא קובץ האימג' של ה-VM נכשל בשלב התרגום של קובץ האימג' בגלל שאין מספיק מקום בדיסק וזמן קצוב לתפוגה בתגובה של שרת ה-proxy לאחסון אובייקטים.

SIEM:

  • משימות ההתקנה מראש של OCLCM נכשלות שוב ושוב בבדיקת ה-Feature Gate.
הוצא משימוש

ביצועים:

  • בגרסה 1.12.0 של Google Distributed Cloud במודל Air-gapped, הוצאה משימוש היכולת להריץ נקודות השוואה (benchmarks) של provision key.